Vídeo: Ameaças, Vulnerabilidades e Riscos (Novembro 2024)
A menos que você tenha comprado o telefone ou tablet recentemente, são grandes as chances de seu dispositivo Android estar executando uma versão desatualizada do sistema operacional, expondo-o a sérios riscos à segurança.
Os dados mais recentes do Google mostram que 44% dos usuários do Android ainda estão no "Gingerbread", ou nas versões 2.3.3 a 2.3.7, lançadas há dois anos. O pão de gengibre possui várias vulnerabilidades de segurança que foram corrigidas em versões posteriores. Os dados de divisão do sistema operacional são baseados em estatísticas coletadas de dispositivos Android conectados ao Google Play de 22 de fevereiro a 4 de março.
Apenas 16% dos dispositivos Android estão executando a versão 4.1 ou 4.2 do sistema operacional móvel, de acordo com o Google. Também conhecida como "Jelly Bean", a versão mais recente do Android foi lançada há seis meses, mas a maioria dos usuários do Android não conseguiu atualizar para o novo sistema operacional porque o processo é fortemente controlado pelas operadoras.
"O problema com o Android é que a maioria das pessoas tem versões antigas em seus telefones", disse Collin Mulliner, pesquisador de pós-doutorado do SECLAB na Northeastern University, em Boston, durante um painel de segurança móvel na RSA Conference do mês passado.
No nosso SecurityWatch Summit, no último outono, Dan Guido, CEO e cofundador da Trail of Bits, observou que a maioria dos dispositivos iOS é atualizada dentro de semanas, e não dias, da Apple lançando o novo sistema operacional.
Operadoras de celular ficam atrasadas nas atualizações
"Uma das coisas mais importantes na segurança de software hoje é a capacidade de atualizar remotamente", disse Mulliner no painel. Enquanto os usuários podem iniciar a atualização do sistema operacional por conta própria para iPhones e iPads, Android, as operadoras de celular controlam todo o processo para dispositivos Android. No momento, seu registro coletivo de envio de atualizações para os usuários é absolutamente sombrio.
O problema é que a plataforma aberta do Android permite que fabricantes e operadoras de dispositivos ajustem o sistema operacional para agrupar software extra e definir determinadas configurações. Sempre que o Google lança uma atualização do sistema operacional, tanto o fornecedor quanto as operadoras precisam testar as alterações nos sistemas de fabricação caseira antes de lançar a versão mais recente. As operadoras afirmam que este é um processo lento, mas muitos especialistas em segurança acreditam que as operadoras estão priorizando o lucro em vez da segurança.
Alguns telefones simplesmente não recebem a atualização mais recente do Android porque estão sendo desativados ou são modelos mais antigos, disse Chris Soghoian, pesquisador e ativista de privacidade, em um evento diferente no início deste ano. Os fabricantes concentram seus esforços nos dispositivos atualmente à venda e no mercado, e as operadoras de celular "só se preocupam com você uma vez a cada dois anos" quando o contrato do usuário está pronto para renovação, disse Soghoian. Por exemplo, um smartphone LG Android não recebeu sua primeira atualização do sistema operacional por 16 meses, e muitos telefones nunca obtiveram a primeira atualização, muito menos uma segunda.
Considerando que o Google lançou uma nova versão aproximadamente a cada seis meses, é fácil ver com que rapidez os usuários podem ficar desatualizados.
Um ataque drive-by, no qual o usuário é comprometido apenas visitando um site malicioso, não é a maior ameaça para os usuários do Android, disse Charlie Miller, pesquisador conhecido por seu trabalho em segurança iOS e Android, durante o mesmo painel em Conferência RSA.
"As pessoas pensam que o drive-by é uma grande ameaça, mas na vida real elas simplesmente não acontecem", disse Miller. Quando se trata do Android, o maior risco que os usuários enfrentam é o fato de seus dispositivos estarem executando versões desatualizadas e sem patches do sistema operacional, disse ele. As versões mais recentes do Android têm patches de segurança e atenuações de exploração aprimoradas.
Os cibercriminosos sabem que os usuários estão executando sistemas operacionais vulneráveis. Tudo o que os criminosos precisam fazer é lançar um aplicativo mal-intencionado que explora uma vulnerabilidade em uma versão antiga do Android e atingir uma parte significativa da base de usuários.
Como Soghoian apontou anteriormente, "você não precisa de um dia zero para atacar a maioria dos dispositivos Android se os consumidores estiverem executando um software de 13 meses".
Infelizmente, é provável que essa situação não seja alterada, a menos que as operadoras comecem a levar a segurança a sério ou o Google retire o controle do processo de atualização das operadoras. O dispositivo Android mais seguro do mercado é o smartphone Nexus 4 do Google, pois a empresa tem controle total sobre as atualizações.
